← Tous les articles Cookies · CNIL 8 min de lecture Par l'équipe Sitetals Mis à jour le 6 septembre 2026

Bandeau cookies : refuser aussi facilement qu'accepter, ce que les lignes directrices de la CNIL demandent

Le bandeau s'affiche en bas de l'écran. Un grand bouton vert « Accepter ». À côté, en petit et en gris, un lien « Paramétrer ». Le visiteur qui veut refuser clique sur ce lien, attend l'ouverture d'un panneau, décoche six finalités une par une, puis cherche le bouton « Enregistrer ». Pendant ce temps, la page a déjà chargé l'outil de statistiques et le pixel publicitaire. Ce bandeau est fréquent sur les sites français. Il ressemble à un bandeau conforme, il n'en est pas un. Cet article explique ce que la loi demande, ce que la CNIL précise dans ses deux textes de 2020, et comment corriger un bandeau existant.

Avertissement : cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Les textes cités sont ceux en vigueur à la date de rédaction ; pour une situation particulière, consultez un professionnel du droit.

Commencez par ceci : le test en trois clics

Ouvrez votre site dans une fenêtre de navigation privée et répondez à trois questions.

Le refus est-il à un clic ? Un bouton « Tout refuser » existe au même niveau, de la même taille et de la même couleur que « Tout accepter ».
Rien n'est déposé avant le choix ? Dans les outils de développement du navigateur, la liste des cookies ne contient, avant tout clic, que des cookies techniques.
Peut-on changer d'avis ? Une icône ou un lien « Gérer mes cookies » est visible sur toutes les pages, y compris après avoir accepté.

Trois « oui » : votre bandeau tient l'essentiel de ce que la délibération n° 2020-091 demande. Un « non » ou plus : la suite vous dit quoi corriger, dans l'ordre.

Ce que la loi demande

Le texte de base n'est pas le RGPD mais l'article 82 de la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978). Il demande deux choses avant tout accès à l'équipement de l'utilisateur ou tout dépôt d'information dans celui-ci : une information « claire et complète » sur la finalité de l'opération et sur les moyens de s'y opposer, puis le consentement de la personne, exprimé après avoir reçu cette information. Le texte vise l'équipement terminal, pas seulement les données personnelles.

L'article 82 prévoit deux exceptions : l'opération qui « a pour finalité exclusive de permettre ou faciliter la communication par voie électronique », et celle qui « est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ». Tout le reste demande un consentement.

La définition du consentement vient du RGPD, article 4, point 11 : une manifestation de volonté « libre, spécifique, éclairée et univoque », par une déclaration ou « un acte positif clair ». L'article 7 ajoute deux exigences que les bandeaux oublient souvent : le responsable du traitement doit pouvoir démontrer que le consentement a été donné (paragraphe 1), et « il est aussi simple de retirer que de donner son consentement » (paragraphe 3).

À retenir : le consentement est une action de l'utilisateur, avant tout dépôt, informée et réversible.

Ce que la CNIL demande en pratique

La CNIL a précisé la lecture de l'article 82 dans deux textes du 17 septembre 2020 : les lignes directrices (délibération n° 2020-091), et la recommandation (délibération n° 2020-092), qui propose des modalités pratiques et des exemples d'interface.

Rien avant le choix. Les lignes directrices rappellent que l'article 82 impose le consentement « avant toute action » de dépôt ou de lecture. Un traceur soumis au consentement qui se charge avec la page est déposé sans base.
Refuser aussi facilement qu'accepter. L'expression du refus « ne doit nécessiter aucune démarche » de l'utilisateur, ou doit se traduire par une action « présentant le même degré de simplicité » que l'acceptation. La recommandation illustre cela par deux boutons « présentés au même niveau et sur le même format », par exemple « Tout accepter » et « Tout refuser ».
Poursuivre la navigation n'est pas consentir. Continuer à naviguer ou « faire défiler la page » ne constituent pas des actions positives claires assimilables à un consentement valable. L'acceptation globale de conditions générales d'utilisation non plus.
Le mur de traceurs n'est pas la réponse par défaut. Subordonner l'accès au site à l'acceptation des traceurs (« cookie wall ») « est susceptible de porter atteinte, dans certains cas, à la liberté du consentement » ; sa licéité s'apprécie au cas par cas. Si un site y recourt, l'information doit indiquer clairement les conséquences du refus.
Une information minimale avant le choix. L'identité du ou des responsables du traitement, la finalité de chaque opération, la manière d'accepter ou de refuser, les conséquences du choix, et l'existence du droit de retirer son consentement. La liste des sociétés qui déposent des traceurs doit être complète, à jour et accessible au moment du choix.
Finalité par finalité. Un consentement unique pour plusieurs finalités distinctes, sans choix finalité par finalité, est « susceptible d'affecter » la liberté de choix. La recommandation propose un bouton « Personnaliser mes choix » au même niveau que les deux boutons globaux.
Le retrait aussi simple que le don. La recommandation suggère un module accessible « sur toutes les pages du site » par une icône « cookie » ou un lien en pied de page.
Conserver la preuve. Il faut pouvoir fournir « à tout moment » la preuve d'un consentement valable. Moyens proposés, non exclusifs : capture d'écran horodatée du bandeau pour chaque version du site, condensat horodaté du code de recueil, ou archivage des configurations de l'outil de consentement.
Six mois, puis redemander. La recommandation invite à renouveler le recueil « à des intervalles appropriés » et considère que conserver le choix, « tant le consentement que le refus », pendant six mois « constitue une bonne pratique ». Concrètement : ne pas réafficher le bandeau à chaque visite à celui qui a refusé, et le réafficher à tous au bout de six mois.

À retenir : les deux textes demandent un bandeau symétrique, qui n'agit qu'après le choix, et dont vous gardez la trace.

Les traceurs exemptés de consentement

Tous les cookies ne demandent pas de bandeau. Les lignes directrices donnent des exemples de traceurs qui peuvent être regardés comme exemptés au titre de l'article 82 : le cookie qui conserve le choix exprimé sur le bandeau ; les traceurs d'authentification ; ceux qui gardent en mémoire un panier d'achat ; ceux qui mémorisent la langue, quand cette personnalisation est un élément attendu du service ; ceux qui équilibrent la charge entre serveurs ; et certains traceurs de mesure d'audience, sous conditions.

Le cas de la mesure d'audience. Les lignes directrices considèrent que les traceurs dont la finalité se limite à mesurer l'audience du site sont strictement nécessaires à son fonctionnement et ne sont pas soumis au consentement préalable, à trois conditions cumulatives : une finalité « strictement limitée à la seule mesure de l'audience » pour « le compte exclusif de l'éditeur » ; pas de « suivi global de la navigation » de la personne sur différents sites ou applications ; uniquement « des données statistiques anonymes », sans recoupement avec d'autres traitements ni transmission à des tiers. La recommandation ajoute d'en informer les utilisateurs dans la politique de confidentialité, de limiter la durée de vie de ces traceurs à treize mois sans prorogation automatique, et de ne pas conserver les données plus de vingt-cinq mois.

À retenir : un outil de statistiques configuré par défaut, qui partage des données avec un écosystème publicitaire, ne remplit pas ces conditions. Soit il est configuré en mode exempté, soit il passe par le bandeau.

Ce que le bandeau montre, ce que les textes demandent

Ce que le bandeau montre	Ce que les textes demandent	Conforme ?
Un bouton « Accepter » et un lien « Paramétrer »	Un refus « présentant le même degré de simplicité » que l'acceptation (lignes directrices 2020-091)	Non
« En poursuivant votre navigation, vous acceptez… »	Un « acte positif clair » (RGPD, art. 4, point 11) ; le défilement n'en est pas un (lignes directrices 2020-091)	Non
Le pixel publicitaire se charge avec la page, le bandeau s'affiche ensuite	Consentement avant tout dépôt ou lecture (art. 82 LIL)	Non
« Tout accepter » et « Tout refuser », même taille, même couleur	Deux boutons « au même niveau et sur le même format » (recommandation 2020-092)	Oui
Une fois accepté, le bandeau ne réapparaît pas	Retrait « aussi simple » que le don (RGPD, art. 7.3) ; renouvellement, six mois en bonne pratique (recommandation 2020-092)	Non
Aucun bandeau ; seulement un cookie de session et un cookie de langue	Traceurs strictement nécessaires, exemptés (art. 82 LIL)	Oui

Corriger un bandeau existant, étape par étape

Inventaire des traceurs. Site ouvert en navigation privée, sans cliquer : relevez tous les cookies et scripts tiers chargés (onglets « Réseau » et « Application » des outils de développement). Classez chaque traceur : strictement nécessaire, mesure d'audience exemptée, ou soumis au consentement. Notez la société qui le dépose.
Bloquer avant le choix. Dans le gestionnaire de balises ou le CMS, conditionnez chaque script soumis au consentement à un déclencheur « consentement donné pour la finalité X ». Un script laissé dans le code HTML de la page se charge quoi qu'il arrive. Sous WordPress, notre guide WordPress et CNIL décrit les extensions qui gèrent ce blocage.
Ajouter le bouton de refus. Premier écran : « Tout accepter », « Tout refuser », « Personnaliser mes choix », même niveau, même format. Supprimez toute phrase du type « en poursuivant votre navigation ». Fermer le bandeau ne dépose rien.
Compléter l'information. Une liste courte des finalités, un intitulé et une phrase chacune. Sur le second écran, la liste des sociétés qui déposent des traceurs, avec un lien vers leur politique, et la mention du droit de retrait. Reliez le bandeau à la politique de confidentialité, distincte des mentions légales.
Régler la durée. Conservez le choix, accepté ou refusé, pendant six mois, puis réaffichez le bandeau. Limitez les traceurs de mesure d'audience exemptés à treize mois.
Rendre le retrait visible. Une icône « cookie » ou un lien « Gérer mes cookies » dans le pied de page de toutes les pages, qui rouvre le module et permet de tout retirer en un clic.
Constituer la preuve. Capture d'écran horodatée du bandeau pour chaque version, export de la configuration de l'outil, conservés avec la date de mise en ligne.
Tester avec un profil neuf. Un profil de navigateur jamais utilisé sur le site. Trois passages : sans clic, après « Tout refuser », après « Tout accepter ». Comparez cookies et requêtes réseau à l'inventaire de l'étape 1.

À retenir : l'étape 2 compte le plus. Un bouton « Tout refuser » qui ne bloque rien donne au visiteur une assurance fausse.

Liste de vérification

Avant tout clic, seuls des traceurs strictement nécessaires ou de mesure d'audience exemptée sont présents.
« Tout accepter » et « Tout refuser » sont sur le premier écran, au même niveau, dans le même format.
Aucune mention « en poursuivant votre navigation » ; fermer le bandeau ne vaut pas acceptation.
La liste des sociétés qui déposent des traceurs est accessible depuis le bandeau et tenue à jour.
Le droit de retrait est mentionné ; une icône ou un lien permet de l'exercer sur toutes les pages.
Le choix, accepté ou refusé, est conservé six mois puis redemandé.
Les traceurs de mesure d'audience exemptés respectent les trois conditions et durent au plus treize mois.
Le test en profil neuf, ordinateur et mobile, a été refait après la dernière modification du site.

Vérifiez les services tiers chargés par votre site

La vérification gratuite Sitetals examine votre page d'accueil et signale, entre autres, l'absence d'une page de mentions légales ou de politique de confidentialité accessible, ainsi que les services tiers chargés par votre site. C'est un point de départ pour la relecture décrite ci-dessus, pas un substitut à celle-ci.

Lancer la vérification gratuite

À lire également :

Sources : Loi n° 78-17 du 6 janvier 1978, article 82 · Délibération CNIL n° 2020-091 du 17 septembre 2020 (lignes directrices) · Délibération CNIL n° 2020-092 du 17 septembre 2020 (recommandation) · Règlement (UE) 2016/679, articles 4 et 7 · CNIL, solutions pour les outils de mesure d'audience · Méthodologie Sitetals.

Rédaction Sitetals